Evaluatie risicoanalyses

Tussen 1-10-2014 en 31-12-2015 hebben we binnen de gemeente ’s-Hertogenbosch een tweede ronde risicoanalyses informatiebeheer uitgevoerd. De ervaringen die we hebben opgedaan delen we graag ook hier.

Het doel van een risicoanalyse informatiebeheer is inzichtelijk maken:

• Welke informatie voortvloeit uit welke processen en waar die informatie zich bevindt;

• De kwaliteit van het informatiebeheer per opslaglocatie (zowel de opslaglocatie zelf als het informatiebeheer);

• Binnen welke processen we risico’s lopen op het terrein van informatiebeheer

Bij het uitvoeren van iedere risicoanalyse worden op aangeven van het afdelingshoofd interviews gepland met een of meer inhoudsdeskundigen. De interviews worden uitgewerkt. Het resultaat wordt teruggekoppeld aan de geïnterviewden. Daarna wordt het resultaat besproken met het afdelings- of bureauhoofd waarbij indien nodig afspraken worden gemaakt over verbeteracties.

Werkinstructie

Voorafgaand aan de uitvoering van deze ronde risicoanalyses hebben we een werkinstructie opgesteld.

De werkinstructie vonden we erg handig en nuttig, omdat het een goed houvast bood en een bepaalde mate van eenduidigheid heeft geborgd.

Lessons learned

• Geef in de werkinstructie scherp aan hoe de analyse uitgewerkt moet worden. De huidige omschrijving laat ruimte voor eigen interpretatie. Daardoor kunnen verschillen ontstaan.

• Geef een helder beschrijving van de reikwijdte van de verschillende belangen (politiek, financieel, juridisch, cultuurhistorisch). Dit kan helpen bij het voeren van het gesprek en het benoemen van de risico’s

• Besteed aandacht aan het beschrijven van de kans dat een gebeurtenis zich voordoet naast het in kaart brengen van de impact van een gebeurtenis. 

Sjabloon

Naar aanleiding van de eerste ronde risicoanalyses hebben we het sjabloon doorontwikkeld. De volgende aspecten van het sjabloon hebben we als positief ervaren.

• De opzet van het voorblad. Overzichtelijk en duidelijke beschrijving van wie betrokken zijn geweest bij de analyse.

• Heldere toelichting bij verschillende aspecten van het opslagmedium.

• Processen en opslagmedia worden van elkaar onderscheiden en tegelijkertijd met elkaar verbonden.

• Het beeld is beter onderbouwd. Door de opzet van het sjabloon ontstaat een consistenter beeld.

Lessons learned:

• Neem de bewaar- en vernietigingstermijnen op in het sjabloon. Wanneer proceseigenaren en materiedeskundigen hier inzicht in krijgen, maakt dit het voeren van de gesprekken makkelijker.

• Zorg dat er tussen het tabblad opslagmedium en het tabblad proces een 1-N-relatie ingericht wordt.

Bevindingen uitvoering

Terugkijkend op de uitvoering van de analyses gingen de volgende zaken goed:

• De doorlooptijd van een analyse van een afdeling was goed (niet te lang).

• Veel draagvlak bij de afdelingen.

• De ingeschatte tijdsbesteding was reëel. Vooraf hebben we de gemiddelde tijdsbesteding gesteld op tien uur per afdeling. Gemiddeld genomen hebben we ongeveer deze tijd ook besteed.

Lessons learned:

• Zorg dat de risico-analyese ingebed gaan worden in bijvoorbeeld de planning- en controlcyclus.

We gaan het concept van de risico-analyses handhaven en stapsgewijs deze steeds meer opnemen en in de planning & control-cyclus.